nmcli创建网桥默认STP关闭，需显式启用并设priority 4096以确保根桥选举可控；添加bridge-slave接口后，STP自动生效，通过bridge link show、/sys/class/net/br0/bridge/priority和tcpdump验证。
在 Linux 中用 nmcli 配置网桥时启用 STP（生成树协议），是防止虚拟化或容器环境中二层环路引发广播风暴、MAC 表震荡甚至网络中断的关键步骤。默认情况下，nmcli 创建的网桥 STP 是**关闭状态**，必须显式开启并合理调参，否则多个物理/虚拟接口接入同一网桥可能直接导致环路。
创建网桥时直接启用 STP 并设置优先级
STP 的核心是选举根桥，而根桥由桥 ID（优先级 + MAC）决定。若不指定优先级，所有网桥使用默认 32768，最终由 MAC 最小者胜出——这在虚拟环境中极不可控。因此建议在建桥阶段就设好优先级：
- 创建带 STP 的网桥连接：
sudo nmcli connection add type bridge con-name br0 ifname br0 stp yes priority 4096 -
priority 4096是推荐值（必须是 4096 的整数倍），确保该网桥大概率成为整个二层域的根桥；若需备份根桥，可在另一台主机上设为priority 8192 - STP 启用后，网桥会自动发送 BPDU，并根据路径开销、桥 ID、端口 ID 等完成端口角色判定（根端口、指定端口、阻塞端口）
确认 STP 已生效且参数可读
仅执行创建命令不代表 STP 立即运行，还需检查内核接口状态和配置持久性：
- 查看网桥 STP 状态：
bridge link show dev br0—— 输出中state BACKUP或FORWARDING表示端口已参与 STP；若显示DISABLED，说明 STP 未启用 - 验证当前桥优先级：
sudo cat /sys/class/net/br0/bridge/priority应返回4096（十进制），而非默认32768 - 检查 BPDU 是否发出：
sudo tcpdump -i br0 ether proto 0x42（0x42 是 BPDU 的以太网类型）可捕获 STP 协议帧
将物理或虚拟接口加入网桥并保持 STP 参与
单纯建桥没用，必须把实际承载流量的接口（如 eth0、vnet0、veth-pair 一端）作为从属连接加入，且这些端口需继承网桥的 STP 行为：
- 添加物理网卡到网桥：
sudo nmcli connection add type bridge-slave ifname eth0 master br0 - 添加虚拟接口（如 KVM 的 vnet0）：
sudo nmcli connection add type bridge-slave ifname vnet0 master br0 - 关键点：这些从属连接**不能单独配置 IP 或 up 状态**，其转发行为完全由网桥 STP 控制；若手动
ip link set vnet0 up，可能绕过 STP 导致环路
避免常见失效场景
很多环路问题不是 STP 没配，而是被意外覆盖或忽略细节：
-
NetworkManager 和 systemd-networkd 冲突：若系统同时启用两者，NM 的 STP 设置可能被 networkd 覆盖。确认只启用 NM：
sudo systemctl disable systemd-networkd && sudo systemctl enable NetworkManager - 旧版内核或桥驱动不支持 RSTP：Linux 内核原生桥接只支持传统 STP（IEEE 802.1D），不支持快速收敛的 RSTP/MSTP。如需毫秒级收敛，应改用 OVS 或硬件交换机
-
容器或 VM 侧禁用了 STP 感知：某些虚拟网卡驱动（如 virtio-net）默认不处理 BPDU。需在 QEMU 启动参数中加
-netdev bridge,br=br0,vhost=on,forward-control=on显式透传控制帧
